Zarządzanie portami i bezpieczeństwo

Proszę wyobrazić sobie serwer jako budynek mieszkalny. Każde mieszkanie ma numer, a odwiedzający muszą wiedzieć, do którego mieszkania się udać. W sieciach te „numery mieszkań” nazywa się portami.

Porty sieciowe są punktami końcowymi komunikacji. Pomagają serwerowi kierować przychodzący ruch sieciowy do właściwej usługi lub aplikacji. Każdemu portowi przypisany jest unikalny numer z zakresu od 0 do 65535.

Wiele usług korzysta ze standardowych, dobrze znanych numerów portów. Ich znajomość pomaga identyfikować usługi i konfigurować zapory sieciowe.

• Port 22: używany przez SSH (Secure Shell) do zdalnego dostępu.
• Port 80: używany przez HTTP (Hypertext Transfer Protocol) do standardowego ruchu WWW.
• Port 443: używany przez HTTPS (HTTP Secure) do szyfrowanego ruchu WWW.
• Port 53: używany przez DNS (Domain Name System) do rozwiązywania nazw.

To tylko kilka przykładów; istnieją tysiące portów przeznaczonych dla różnych aplikacji.

Przed otwarciem nowych portów warto sprawdzić, które z nich są już aktywne na serwerze. Polecenie ss (statystyki gniazd) to nowoczesne narzędzie do sprawdzania gniazd sieciowych.

Opcje -ltn wyświetlają nasłuchujące gniazda TCP w postaci numerycznej, bez rozwiązywania nazw hostów.

UFW (Uncomplicated Firewall) to popularne narzędzie do zarządzania zaporą sieciową w systemie Ubuntu i innych systemach opartych na Debianie. Upraszcza konfigurowanie reguł iptables.

Aby zezwolić na ruch lub go odrzucić, należy określić numer portu i protokół (TCP lub UDP). Po zmianach należy pamiętać o ponownym załadowaniu lub włączeniu UFW.

W systemach CentOS, RHEL i Fedora firewalld jest domyślnym narzędziem do zarządzania zaporą sieciową. Korzysta ze „stref” do zarządzania różnymi interfejsami sieciowymi.

Reguły dodaje się do strefy, zazwyczaj public w przypadku usług dostępnych z Internetu, a następnie przeładowuje firewalld, aby zastosować zmiany.

Przekierowanie portów to technika przekierowująca ruch sieciowy z jednego portu na inny. Może odbywać się na tej samej maszynie lub między różnymi maszynami.

Techniki tej często używa się, aby umożliwić urządzeniom zewnętrznym dostęp do usług w prywatnej sieci albo bezpiecznie tunelować ruch przez serwer pośredniczący.

Jednym z popularnych rodzajów jest lokalne przekierowanie portów za pomocą SSH. Tworzy ono bezpieczny tunel z lokalnej maszyny do zdalnego serwera, a następnie ze zdalnego serwera do innego hosta docelowego i jego portu (którym może być nawet sam zdalny serwer).

Jest to przydatne przy uzyskiwaniu dostępu do usług w zdalnej sieci prywatnej, które nie są bezpośrednio dostępne z Internetu, takich jak baza danych lub wewnętrzna aplikacja WWW.

Oto sposób użycia lokalnego przekierowania portów SSH. To polecenie przekierowuje ruch z portu 8080 lokalnej maszyny do portu 80 na hoście localhost (czyli na samym zdalnym serwerze) przez połączenie SSH z hostem your_server_ip.

Po nawiązaniu połączenia można uzyskać dostęp do zdalnego serwera WWW (na porcie 80), otwierając na lokalnej maszynie adres http://localhost:8080 w przeglądarce.

Zarządzanie portami ma kluczowe znaczenie dla bezpieczeństwa serwera. Oto najważniejsze zasady:

• Zasada najmniejszych uprawnień: należy otwierać tylko porty absolutnie niezbędne do działania usług.
• Regularne audyty: należy okresowo sprawdzać reguły zapory i aktywne nasłuchujące porty, aby upewnić się, że nie są otwarte żadne nieautoryzowane porty.
• Silne hasła/klucze: w przypadku usług takich jak SSH należy zawsze stosować silne uwierzytelnianie.
• Ograniczanie częstotliwości: warto rozważyć ograniczenie liczby prób połączenia z krytycznymi portami (takimi jak SSH), aby zapobiegać atakom brute force.

Które z poniższych działań uznaje się za dobre praktyki bezpieczeństwa podczas zarządzania portami serwera?

W tej lekcji omówiliśmy porty sieciowe, które są niezbędne do kierowania ruchu do usług serwera. Poznaliśmy popularne numery portów oraz sposób sprawdzania nasłuchujących portów za pomocą polecenia ss.

Wiedzą już Państwo, jak zarządzać regułami zapory za pomocą UFW i firewalld, oraz rozumieją Państwo koncepcję lokalnego przekierowania portów SSH. Omówiliśmy również najważniejsze praktyki zabezpieczania portów, które pomagają chronić serwer.